Moodle Security (3): Welke persoonsgegevens verzamelt Moodle?

Deze blog in de serie over Moodle Security gaat niet zozeer over een Moodle instelling. Ik wil meer bespreken welke persoonsgegevens verzameld worden in Moodle. Ik probeer vanuit mijn perspectief (niet-juridisch) de impact van de nieuwe privacywet te vertalen naar Moodle.

Al sinds de begintijd van Moodle wordt bepaalde informatie getoond die de wetgever nu onder persoonsgegeven laat vallen. Nu zijn sommige gegevens wel nodig in online leertrajecten, maar waarom is het nuttig om te weten vanaf IP-adres je voor het laatst hebt ingelogd. En wie moet (mag?) allemaal weten wanneer jij voor het laatst hebt ingelogd? En moet jouw e-mailadres zichtbaar zijn voor andere deelnemers? Waarom wordt jouw woonplaats getoond bij het overzicht van deelnemers?

Welke gegevens vallen onder andere na 25 mei 2018 onder de privacywet?

• namen
• adressen
• IP-adressen
• MAC-adressen
• cookies
• profielfoto
• vingerafdrukken
• …

Daarnaast spreekt de AVG over bijzondere of gevoelige persoonsgegevens. Denk aan gegevens die iets zeggen over iemands ras, godsdienst, gezondheid, strafrechtelijk verleden of seksuele leven. Ook een lidmaatschap van een vakvereniging en het burgerservicenummer (BSN) zijn bijzondere persoonsgegevens.

Wat opvalt is dat een aantal gegevens die in Moodle opgeslagen worden, onder de nieuwe privacywet vallen. En of je het wilt of niet, als eigenaar van een Moodle site ben je gegevens aan het verwerken. Onder verwerking wordt verstaan elke handeling met betrekking tot persoonsgegevens. De wet noemt als voorbeelden van verwerking: het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekking door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, afschermen, uitwissen en vernietigen van gegevens.

Het verwerken van de persoongegevens moet in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze gebeuren. Belangrijk is dat het doel waarom je gegevens verzameld heel precies wordt omschreven. En je mag na 25 mei 2018 alleen persoongegevens verwerken voor zover ze echt noodzakelijk zijn. Meer gegevens verzamelen dan nodig is, wordt verboden.

In een eerdere blog schreven we al dat Moodle 3.4 wordt voorbereid op de nieuwe AVG. Wat dit concreet betekent, ga ik in een latere blog nog verder op in.